# SlimAgent > [!high] Implant de Vigilância do APT28 — Evolução do XAgent > SlimAgent é um implant de espionagem atribuído ao [[g0007-apt28|APT28]] (Fancy Bear / GRU Unit 26165), descoberto pela ESET em março de 2026. É a terceira ferramenta do arsenal renovado do grupo, ao lado do BeardShell e do Covenant. Representa evolução direta do XAgent — usado no hack do Comitê Nacional Democrata em 2016. ## Visão Geral O SlimAgent é o terceiro componente do arsenal renovado do [[g0007-apt28|APT28]], identificado pela ESET em março de 2026 durante análise de incidentes recentes. O malware é uma evolução direta do **XAgent** — implant histórico do APT28 que ganhou notoriedade pelo uso no ataque ao Comitê Nacional Democrata (DNC) em 2016 durante as eleições presidenciais americanas. A linhagem de código do SlimAgent pode ser rastreada de 2018 a 2024, demonstrando desenvolvimento contínuo pelo grupo ao longo de seis anos. O implant opera em conjunto com o [[beardshell|BeardShell]] (implant primário) e o [[s1155-covenant|Covenant]] (ferramenta de fallback), formando um trio complementar de capacidades no arsenal renovado do APT28. O SlimAgent foca em vigilância silenciosa: captura todas as teclas digitadas, realiza screenshots periódicos e monitora o clipboard do sistema — coletando credenciais, mensagens e tokens que fluem pela área de transferência. Esta combinação de técnicas de coleta passiva é característica de operações de espionagem estatal com objetivo de exfiltrar segredos de longo prazo. > [!latam] Relevância para o Brasil e LATAM > O [[g0007-apt28|APT28]] tem histórico de operações contra governos, jornalistas, organizações de defesa e entidades eleitorais. O Brasil, como país com projeção internacional crescente e instituições democráticas relevantes, pode ser alvo de interesse para inteligência russa — especialmente em contextos eleitorais, diplomáticos ou de parceria com a OTAN. Organizações brasileiras de **governo**, **defesa** e **mídia investigativa** devem considerar a ameaça do APT28 e implementar EDR com detecção de keyloggers e análise de acesso ao clipboard. --- ## Como Funciona O SlimAgent é um implant de vigilância que coleta dados do alvo em tempo real: - **Keylogging** - captura todas as teclas digitadas, incluindo credenciais e mensagens - **Screenshots** - captura periódica da tela do alvo - **Clipboard** - monitora e exfiltra conteúdo copiado (senhas, tokens, URLs) - **Linhagem XAgent** - evolução direta do XAgent (2016), com code lineage demonstrável por 6 anos Opera em conjunto com [[beardshell|BeardShell]] (implant primário) e [[s1155-covenant|Covenant]] (fallback), formando o trio de ferramentas do arsenal APT28 renovado. --- ## Detecção e Mitigação - Monitorar processos com acesso a APIs de keylogging (SetWindowsHookEx, GetAsyncKeyState) - Detectar captura de screenshots programática em intervalos regulares - Auditar acesso ao clipboard por processos não autorizados - Correlacionar com indicadores de [[beardshell|BeardShell]] e [[s1155-covenant|Covenant]] --- ## Referências - ESET Research, março 2026 - [[_feed|Feed CTI]] - APT28 Arsenal Renovado (27 mar 2026)